群組原則介於控制台與登錄之間，安全性高、條理性強。本地原則透過 gpedit.msc 或 MMC 添加「群組原則」嵌入式管理單元存取。分「電腦設定」（套用全機器，存 HKLM）與「使用者設定」（套用目前使用者，存 HKCU）。重點整理如下：
gpedit.msc 直接開啟。mmc →「檔案」→「新增/移除管理單元」→「新增」→「群組原則」→選「本機電腦」。「使用者設定」→「管理範本」→「工作列與開始功能表」：
• 移除「我的文件」、「我的文件」等圖示。
• 「不保留最近開啟文件記錄」、「離開時清除最近文件記錄」、「從開始功能表移除文件功能表」→防隱私外洩。
• 「阻止變更工作列與開始功能表設定」、「鎖定工作列」→保護介面配置。
• 「關閉個人化功能表」、「強制經典功能表」→恢復 Win2K 風格。
• 「移除開始功能表上的登出」、「移除並阻止存取關機命令」→防止長時間渲染/運算被中斷。
「使用者設定」→「管理範本」→「桌面」：
• 隱藏「我的電腦」、「網路芳鄰」等預設圖示。
• 「禁止使用者變更我的文件路徑」、「退出時不儲存設定」、「隱藏並停用桌面上所有項目」→徹底鎖定桌面。
• 「啟用 Active Desktop」、「Active Desktop 背景圖片」、「不允許變更」→統一桌面風格。
「使用者設定」→「管理範本」→「控制台」：
• 隱藏/移除「新增/移除程式」、「顯示」等整個項目或特定索引標籤（如「桌面」、「螢幕保護程式」）。
• 「桌面佈景主題」→移除佈景主題、視窗樣式、字型大小變更。
• 「印表機」→阻止新增/刪除印表機。
• 「禁止存取控制台」→徹底封鎖控制台。
「使用者設定」→「管理範本」→「系統」：
• 「登入時不顯示歡迎畫面」→加快登入。
• 「阻止存取登錄編輯程式」→防篡改登錄（被鎖時設「未配置」可解鎖）。
• 「關閉自動播放」→選「所有磁碟機」防光碟自動執行（不影響音樂 CD）。
• 「Windows 自動更新」→「已停用」關閉自動更新。
• 「Ctrl+Alt+Del 選項」→移除「工作管理員」、「鎖定電腦」、「變更密碼」、「登出」按鈕。
「使用者設定」→「管理範本」→「Windows 元件」→「Windows 檔案總管」：
• 「從工具功能表移除資料夾選項」→防更改檔案關聯/檢視設定。
• 「隱藏內容功能表上的管理項目」→封鎖「電腦管理」入口。
• 「隱藏我的電腦中的指定磁碟機」、「網路芳鄰中不含整個網路」、「移除 CD 燒錄功能」、「不將刪除的檔案移至資源回收筒」等。
「使用者設定」→「管理範本」→「Windows 元件」→「Internet Explorer」：
• 「瀏覽器工具列自訂」→為任意程式（如 ICQ）加入工具列按鈕。
• 「停用 Internet Explorer 元件自動安裝」→阻擋 ActiveX 安裝提示。
• 「不保留最近開啟文件記錄」、「離開時清除最近文件記錄」→保護瀏覽隱私。
• 「停用變更首頁設定」、「瀏覽器功能表」隱藏特定功能表、「網際網路控制台」隱藏特定索引標籤。
「電腦設定」→「Windows 設定」→「安全性設定」：
• 「帳戶原則」→「密碼原則」→「密碼必須符合複雜性需求」+「密碼最小長度」=8 以上。
• 「本機原則」→「使用者權利指派」→「拒絕從網路存取這台電腦」移除 Guest，解決 Win9x 無法存取 XP 共享問題；可為 Guest 加入「從遠端系統強制關機」、一般使用者加入「變更系統時間」等權限。
